Cos'è il Regolamento macchine 2023/1230 e cosa cambia per il software?

Il Regolamento (UE) 2023/1230 è il quadro normativo europeo sulla sicurezza dei macchinari: dal 20 gennaio 2027 sostituisce la direttiva macchine 2006/42/CE. La data del 14 gennaio 2027 che incontri ancora è quella del testo originale in Gazzetta ufficiale, corretta poi da una rettifica. Il cambio di forma giuridica non è un dettaglio: una direttiva va recepita da ogni Stato membro con una legge nazionale, un regolamento si applica direttamente e con lo stesso testo in tutta l'Unione. Fino al 19 gennaio 2027 un costruttore può conformarsi alla vecchia direttiva; dal giorno dopo la conformità al nuovo regolamento è obbligatoria. La novità di merito è che il software entra esplicitamente nel perimetro di sicurezza della macchina: una modifica al codice che ne cambia il comportamento rientra nella stessa logica normativa di una modifica meccanica.

Il software come componente normato, non come accessorio

L'articolo 3, punto 16 definisce la modifica sostanziale: un cambiamento fisico o digitale successivo all'immissione sul mercato o alla messa in servizio, non previsto né pianificato dal fabbricante, che crea un pericolo nuovo o aumenta un rischio esistente imponendo ripari o dispositivi di protezione aggiuntivi con modifica del sistema di controllo della sicurezza, oppure misure protettive aggiuntive per stabilità e robustezza meccanica. Un aggiornamento software di un integratore che cambia i limiti di velocità di un braccio robotico o il comportamento di una funzione di sicurezza conta quanto una modifica meccanica: chi lo effettua può diventare il fabbricante della macchina modificata e dover ripetere la valutazione di conformità. La marcatura CE non finisce con la vendita: se il software evolve dopo, per mano di un terzo o del cliente stesso, la responsabilità può riaprirsi.

Sistemi che apprendono: il caso più delicato

L'allegato I elenca le categorie ad alto rischio, e la sua parte A raccoglie quelle per cui serve un organismo notificato e l'autocertificazione non basta. Tra queste i componenti di sicurezza con comportamento parzialmente o totalmente auto-evolutivo, basati su apprendimento automatico, che garantiscono funzioni di sicurezza, e le macchine che li integrano. Il regolamento richiede inoltre che software e dati critici per la conformità siano protetti da corruzione accidentale o intenzionale: se un firmware compromesso può disattivare una funzione di sicurezza, quello è già un gap di conformità, terreno che condivide con il Cyber Resilience Act senza sovrapporsi: il CRA copre la cybersicurezza del prodotto digitale in generale, il regolamento macchine la sicurezza fisica anche quando dipende dal software.

Come si incastra con l'AI Act

Il collegamento con l'AI Act non è vago, e vale la pena capire come funziona. L'articolo 6, paragrafo 1 del regolamento (UE) 2024/1689 considera ad alto rischio un sistema di IA quando ricorrono due condizioni: è destinato a essere usato come componente di sicurezza di un prodotto coperto dalla normativa di armonizzazione elencata nell'allegato I, e quel prodotto è soggetto a valutazione della conformità da parte di terzi. Le macchine sono in quell'elenco, sezione A, punto 1, che cita ancora la direttiva 2006/42/CE, con l'annotazione «abrogata dal regolamento sui prodotti macchina» che compare nella versione italiana dell'allegato e non in quella inglese. Nell'AI Act il numero 2023/1230 non compare mai: il ponte lo getta lo stesso regolamento macchine, il cui articolo 51, paragrafo 2 prevede che i rinvii alla direttiva abrogata si intendano fatti al nuovo regolamento. Un componente di sicurezza auto-evolutivo che rientra nell'allegato I parte A del regolamento macchine, e che quindi impone l'organismo notificato, è automaticamente ad alto rischio ai sensi dell'AI Act: non serve una valutazione separata per scoprirlo.

Le procedure però non si sommano, ed è la parte che di solito rassicura chi teme una doppia certificazione. L'articolo 43, paragrafo 3 stabilisce che per questi sistemi il fornitore segue la procedura di valutazione della conformità prevista dalla normativa settoriale, e che i requisiti dell'AI Act «fanno parte di tale valutazione»: è l'organismo notificato del regolamento macchine a controllarli, purché in sede di notifica sia stato valutato anche su quei requisiti. Una sola certificazione, che copre entrambe le serie di requisiti.

Le date invece non coincidono, e qui sta la trappola di pianificazione: il regolamento macchine si applica dal 20 gennaio 2027, mentre l'articolo 6, paragrafo 1 dell'AI Act e i corrispondenti obblighi decorrono dal 2 agosto 2027 (articolo 113, lettera c). Si apre così una finestra di poco più di sei mesi in cui la stessa macchina ricade già nel regolamento macchine e non è ancora soggetta agli obblighi dell'AI Act sui sistemi ad alto rischio. La documentazione tecnica va comunque costruita una volta sola, per reggere a entrambi i regolamenti.

Un esempio enterprise

Un costruttore italiano di macchine per la lavorazione della lamiera integra in una linea di taglio un modulo di visione artificiale che rileva la presenza dell'operatore e ferma il macchinario. Se quel modulo affina la propria soglia di rilevamento apprendendo dai dati raccolti sul campo, il costruttore deve dimostrare, con documentazione tecnica dedicata, che il comportamento evolutivo resta entro i limiti di sicurezza validati, non solo al collaudo ma nel tempo. Le istruzioni per l'uso possono essere fornite in formato digitale, segnalate sulla macchina e disponibili online almeno dieci anni; anche la dichiarazione UE di conformità può essere raggiunta tramite indirizzo internet o codice leggibile da macchina. La copia cartacea resta dovuta gratuitamente entro un mese a chi la chiede all'acquisto, e per gli utilizzatori non professionali le informazioni essenziali di sicurezza vanno comunque su carta.

Perché conta per chi decide

Il termine del 20 gennaio 2027 sembra lontano, ma il lavoro tecnico non lo è: mappare quali funzioni di sicurezza dipendono da software, capire se un componente rientra nell'allegato I e tracciare gli aggiornamenti come modifiche potenzialmente sostanziali sono attività che si misurano in mesi. Chi ha già investito in visione artificiale e comportamento adattivo deve trattare quell'investimento anche come investimento in conformità: il codice che rende la macchina più intelligente è, da questo momento, anche quello che un organismo notificato può chiedere di ispezionare.

Questa voce è informativa e non costituisce consulenza legale: per decisioni su conformità e marcatura CE coinvolgi il tuo ufficio legale o un organismo notificato.